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"Systeme de telecommunication mettant en ceuvre une resolution de noms de domaine 

securisee" 

La presente invention concerne un systeme de telecommunication incluant une 
base de donnees destin6e a §tre reliee a au moms un terminal au moyen d'un reseau de 

5 communication, laquelle base de donnees incluant des donnees associees a au moins 
un nom de domaine. 

De telles bases de donnees sont couramment utilisees dans des systemes de 
telecommunication mettant en oeuvre un ou plusieurs reseaux mailtes publics, 
systemes dans lesquels un terminal connaissant un nom de domaine d'un interlocuteur 

10 donne interrogera une base de donnees au moyen de ce nom de domaine pour en 
obtenir une adresse de protocole courante qui peut etre amenee a varier dans le temps, 
par exemple une adresse IP si un reseau Internet est mis en ceuvre. A cet effet, la base 
de donnees tient a jour une table de correspondance entre divers noms de domaines et 
des adresses de protocole associees k ces noms de domaine. Un tel service de 

15 fourniture d'adresses de protocole courantes associees a des noms de domaine connus 
de terminaux appelants est connu de rhomme du metier sous l'abreviation DNS de 
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1' expression anglaise "Domain Name Service", la base de donnees etant en principe 

hebergee au sein d'un serveur couramment appele serveur DNS et realisant, en 

mettant en correspondance tin nom de domaine et une adresses de protocole associee a 

ce nom de domaine, une operation appelee resolution. 
5 Dans certaines applications, des donnees confidentielles pourront etre associees 

a un nom de domaine figurant dans la base de donnees hebergee dans le serveur DNS. 

De telles donnees confidentielles pourront simplement Stre constitutes par des 

adresses de protocole particulieres qui doivent etre tenues secretes et ne pourront etre 

communiquees qu'a une population restreinte prealablement definie. Les donnees 
10 confidentielles pourront 6galement etre constitutes par des informations de profil 

propres au detenteur d'un site identifie par le nom de domaine considtre, ou par des 

informations techniques propre au site lui-meme. 

Or, dans l'etat actuel de la technique, le serveur DNS, qui fonctionne a la 

maniere d'une memoire associative adressable au moyen du nom de domaine, n'opere 
15 aucun filtrage des informations qu'il restitue en reponse a une requete identifiant un 

nom de domaine donne, de sorte que le respect du caractere confidentiel de certaines 

donnees n'est en aucun cas garanti. 

L'un des buts de Tinvention est de permettre la realisation d'un service de 

fourniture d 5 adresses de protocole qui assure un respect du caractere confidentiel que 
20 pourraient revetir certaines donnees memorisees dans une base de donnees en 

correspondance avec un ou plusieurs noms de domaine associes auxdites adresses de 

protocole. 

En effet, un systeme de telecommunication conforme au paragraphe introductif 
est caracterise selon T invention en ce que la base de donnees inclut un serveur dit de 

25 reference, destine a contenir des donnees associ6es a au moins un nom de domaine, et 
au moins un premier et un deuxieme serveur auxiliaire destines a contenir des donnees 
prealablement enregistrees au sein du serveur de reference et respectivement munies 
d'un premier et d'un deuxifeme degre de confidentialite, au moins Tun des premier et 
deuxieme serveurs auxiliaires etant muni de moyens d' identification pour interdire 

30 tout accds aux donnees qu'il contient a des terminaux ne possedant pas d'autorisation 
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d'acces compatible avec le degre de confidentialite attribue aux donnees contenues 
dans ce serveur auxiliaire. 

L' invention permet d'exercer un contrdle sur les conditions de communication 
au public des informations contenues dans la base de donnees, en sSparant les donnees 
5 initialement contenues dans le serveur de reference en au moins deux groupes de 
donnees presentant des degres de confidentialite differents, lesquels groupes etant 
respectivement destines a etre contenus dans des serveurs auxiliaires distincts et 
accessibles a des populations prealablement definies, qui pourront etre specifiques a 
chaque serveur auxiliaire et differentes d'un serveur auxiliaire a l'autre. 
10 La base de donnees sera avantageusement munie de moyens de duplication des 

donnees contenues dans le serveur de reference vers les premier et deuxieme serveurs 
auxiliaires en fonction des degres de confidentialite attribues auxdites donnees. 

La duplication vers les serveurs auxiliaires des informations contenues dans le 
serveur de reference permettra une consultation de ces informations au niveau des 
15 serveurs auxiliaires, en autorisant la conservation d'une version de sauvegarde de ces 
informations au sein du serveur de reference. 

Les premier et deuxieme serveurs auxiliaires seront avantageusement munis de 
moyens d' identification pour interdire tout acces aux donnees contenues dans les 
premier et deuxieme serveurs auxiliaires a des terminaux ne possedant pas 
20 d'autorisations d'acces respectivement compatibles avec les premier et deuxieme 
degres de confidentialite. 

Les moyens d' identification constituent un moyen simple de restriction d'acces 
aux informations contenues dans un serveur donne, puisqu'ils imposent a chaque 
terminal ayant requis P acces de faire la preuve de son droit d'acces, et dispensent 
25 ainsi le serveur de toute recherche d' informations supplementaires en vue d'etablir 
Texistence ou Tinexistence de ce droit. 

D'autres moyens de restriction d'acces, tels des moyens de localisation du 
terminal ayant emis une requete d'acces, pourront bien sur etre utilises pour interdire 
un acces a des donnees a des terminaux ne possedant pas d'autorisation d'acces 
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compatible avec le degre de confidentialite attribue auxdites donnees, la compatibility 
etant de nature geographique dans cet autre exemple. 

Le serveur de reference pourra etre inaccessible, en lecture comme en ecriture, a 
tous les terminaux ext£rieurs, hormis a certains equipements de contrfile appartenant a 

5 un gestionnaire du systeme qui doit etre capable de modifier, de supprimer ou 
d'aj outer de maniere dynamique des adresses de protocole, ainsi eventuellement que 
des donnees confidentielles liees a des noms de domaine inclus dans la base de 
donnees. Une telle inaccessibility garantit une certaine integrite des donnees contenues 
dans le serveur de reference, que ces donnees soient ou non confidentielles. 

10 Afin de conferer k la base de donnees conforme a l'invention un degre de liberty 

supplemental pour son fonctiormement, on pourra cependant autoriser un accSs en 
lecture seulement aux donnees contenues dans le serveur de reference. A cet effet, le 
serveur de reference sera muni de moyens d'identification pour interdire toute lecture 
des donnees contenues dans ledit serveur de reference depuis des terminaux ne 

15 possedant pas d'autorisation d'acces compatible avec un troisieme degre de 
confidentialite. 

Pour preserver au maximum 1' integrite des donnees contenues dans le serveur de 
reference auxquelles un acces en lecture est ainsi rendu possible, le troisieme degre de 
confidentialite aura un effet restrictif superieur aux effets restrictifs produits par les 
20 premier et deuxieme degr6s de confidentialite. 

La population apte a lire directement les informations contenues dans le serveur 
de reference sera ainsi moins nombreuse que les populations autorisees k consulter les 
serveurs auxiliaires. 

Dans un mSme souci de preservation de Fintegrite des donnees qu'il est destine 
25 k contenir, le serveur de reference sera de preference muni de moyens d'identification 
pour interdire toute ecriture de donnees dans ledit serveur de reference depuis un 
terminal ne possedant pas d'autorisation d'acces compatible avec un degre de 
confidentialite sup£rieur ayant un effet restrictif superieur aux effets restrictifs 
produits par tous les autres degres de confidentialite attribu^s aux donnees contenues 
30 dans le serveur de reference et dans les serveurs auxiliaires. 
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L' invention concerne egalement, en tant que moyen essentiel a sa mise en 
ceuvre, un dispositif de memorisation d' informations incluant un serveur dit de 
reference, et au moins un premier et un deuxieme serveur auxiliaire destines a contenir 
des donnees pr6alablement enregistrees au sein du serveur de reference et 
5 respectivement munies d'un premier et d'un deuxieme degre de confidentialite, au 
moins Tun des premier et deuxi&me serveurs auxiliaires etant muni de moyens 
d'identification pour interdire tout acces aux donnees qu'ils contient a des requerants 
ne possedant pas d'autorisation d' acces compatible avec le degr£ de confidentialite 
attribue aux donnees contenues dans ce serveur auxiliaire. 

10 Les caracteristiques de l'invention mentionnees ci-dessus, ainsi que d'autres, 

apparaitront plus clairement a la lecture de la description suivante d'un exemple de 
realisation, ladite description etant faite en relation avec la Fig.l qui est un schema 
fonctionnel representant, sous une forme simplifiee, un systeme de telecommunication 
dans lequel 1' invention est mise en oeuvre. 

15 Ce systeme de telecommunication inclut une base de donnees DBS destinee a 

etre reliee a au moins un terminal TER0, TER1 ou TER2 au moyen d'un reseau de 
communication, par exemple un reseau maille de type Internet. Dans ce mode de- 
realisation particulier de Tinvention, la base de donnees DBS inclut un serveur de 
reference REFS destine h contenir des donnees associ£es a au moins un nom de 

20 domaine, et un premier et un deuxieme serveur auxiliaire CFS et PBS destines a 
contenir des donnees pr6alablement enregistrees au sein du serveur de reference et 
respectivement munies d'un premier et d'un deuxieme degre de confidentiality. 

A cet effet 5 chacun des premier et deuxieme serveurs auxiliaires CFS et PBS est 
muni de moyens d' identification, respectivement IDMC et IDMP, pour interdire tout 

25 acces aux donnees qu'il contient a des terminaux ne possedant pas d'autorisation 
d' acces compatible avec le degre de confidentialite attribue aux donnees CONFD ou 
PUBD contenues dans ce serveur auxiliaire CFS ou PBS. 

Les premier et deuxieme degr6s de confidentialite seront en principe choisis de 
telle sorte qu'ils d6finiront deux populations differentes, la population autorisee a 

30 acceder aux donnees confidentieiles CONFD contenues dans le premier serveur 
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auxiliaire CFS etant de par ce choix de taille tres inferieure a la population autorisee a 
acceder aux donnees publiques PUBD contenues dans le deuxieme serveur auxiliaire 
PBS. 

Dans un cas simplifie d'un tel mode de mise en oeuvre de l'invention, seules les 

5 donnees CONFD contenues dans le premier serveur auxiliaire CFS seront des donnees 
confidentielles, par opposition aux donnees PUBD contenues dans le deuxieme 
serveur auxiliaire PBS qui seront des donnees publiques. Dans un tel cas simplifie, les 
moyens d' identification IDMP mentionnes ci-dessus pourront etre inexistants ou 
simplement aptes a controler un respect de conditions de forme auxquelles seraient 

10 assujetties des requetes en lecture RRq(PUBD) des donnees publiques PUBD 
contenues dans le deuxieme serveur auxiliaire PBS. 

Lorsqu'un terminal TER2 souhaitera consulter des donnees contenues dans:le 
premier serveur auxiliaire CFS, ledit terminal enverra tout d'abord ime requete 
RqAIP(CFS) a un serveur racine RTS aux fins de se voir communiquer l'adresse de 

15 protocole ADP(CFS) de ce premier serveur auxiliaire CFS. Cette requete RqAIP(CFS) 
sera usuellement accompagnee d'un identifiant ID2 de ce terminal TER2. Le terminal 
TER2 pourra ensuite emettre a destination de cette adresse de protocole AIP(CFS) une 
requete de lecture RRq(CONFD) d'informations CONFD identifies par le nom de 
domaine qui leur est assocte et qui est connu du terminal TER2. Cette requete 

20 RRq(CONFD) sera accompagnee de V identifiant ID2 et parviendra au premier serveur 
auxiliaire CFS via les moyens d'identification IDMC dont il est muni. Si 1' identifiant 
ID2 identifie le terminal TER2 comme appartenant k la population autorisee a acceder 
aux donnees CONFD munies du premier degre de confidentialite et considerees 
comme confidentielles dans cet exemple, les donnees CONFD requises seront 

25 transmises en retour au terminal TER2. Dans le cas contraire, les moyens 
d'identification IDMC pourront emettre vers le terminal TER2 un avis 
d'irrecevabilitd, ou simplement mettre fin a la connexion entre le terminal TER2 et le 
premier serveur auxiliaire CFS. Les requetes et messages decrits precedemment 
transiteront avantageusement via le reseau Internet, auquel cas les adresses de 

30 protocole seront des adresses IP. 
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Lorsque le terminal TER2 souhaitera consulter des donnees contenues dans le 
deuxieme serveur auxiliaire PBS, ledit terminal enverra tout d'abord une requete 
RqAEP(PBS), accompagnee de l'identifiant ED2, au serveur racine RTS aux fins de se 
voir communiquer Padresse de protocole AIP(PBS) de ce deuxieme serveur auxiliaire 

5 PBS. Le terminal TER2 pourra ensuite emettre a destination de cette adresse de 
protocole AIP(PBS) une requete de lecture RRq(PUBD) d' informations PUBD 
identifiees par le nom de domaine qui leur est associe et qui .est connu du terminal 
TER2. Cette requete RRq(PUBD) parviendra au deuxieme serveur auxiliaire PBS via 
les moyens d' identification IDMP dont il est muni. Les donnees contenues dans le 

10 deuxieme serveur auxiliaire PBS etant publiques dans le cas simplifie decrit ici, 
Fidentifiant TD2 du terminal T2 n'est pas necessaire pour obtenir un acces a ces 
donnees PUBD, qui seront automatiquement transmises en retour au terminal TER2; & 
moins que la requete de lecture RRq(PUBD) ne presente un vice de forme qui sera 
detecte par les moyens d' identification IDMP. Tout terminal formulant une requete de 

15 lecture de donnees PUBD contenues dans le deuxieme serveur auxiliaire PBS est ainsi 
presume posseder une autorisation d' acces compatible avec le degre de confidentiality 
tres faible qui est attribue dans cet exemple auxdites donnees PUBD. 

Chacun des premier et deuxieme serveurs auxiliaires CFS et PBS pourra etre 
construit selon une architecture maitre-esclave bien connue de l'homme du metier, et 

20 inclure ainsi un ou plusietirs serveurs esclaves non-represent6s ici et agences en 
paralldle sous la dependance d'un xmique serveur maitre qui jouira d'une competence 
exclusive pour executer une requete en ecriture dans Tun des serveurs esclaves qu'il 
contxole. 

Dans le mode de mise en oeuvre particulier de V invention decrit ici, la base de 
25 donnees DBS est munie de moyens de duplication SPLM des donnees CONFD, 
PUBD contenues dans le serveur de reference REFS vers les premier et deuxieme 
serveurs auxiliaires CFS et PBS en fonction des degres de confidentialite attribues 
auxdites donnees. 

La duplication vers les serveurs auxiliaires CFS et PBS des donnees CONFD, 
30 PUBD contenues dans le serveur de reference REFS permettra une consultation de ces 
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donnees CONFD, PUBD au niveau des serveurs auxiliaires CFS et PBS, en autorisant 
la conservation d'une version de sauvegarde de ces donnees au sein du serveur de 
reference REFS. 

Pour executer une telle repartition des copies des donnees CONFD, PUBD, les 
5 moyens de duplication SPLM pourront mettre en oeuvre une fonction de repartition 
destinee k analyser un champ de repartition associe a chaque donnee et destine a 
contenir une valeur representative du degre de confidentialite attribue a ladite donn6e. 
Ainsi, dans le cas simplifie decrit ci-dessus ou les donnees sont consider6es soit 
comme publiques, soit comme confidentielles, le champ de repartition pourra par 

10 exemple ne contenir qu'un seul bit £gal k "0" s'il est associe a une donnee publique 
PUBD ou a "1" dans le cas d'une donnee confidentielle CONFD. 

Dans le mode de realisation particulier de V invention decrit ici, un acces 
supplemental, mais uniquement en lecture, aux donnees contenues dans le serveur 
de reference REFS a ete prevu afin de conferer a la base de donn6es DBS un degre de 

15 liberty supplemental pour son fonctionnement. A cet effet, le serveur de reference 
REFS est muni de moyens d' identification IDMR pour interdire toute lecture des 
donnees contenues dans ledit serveur de reference REFS depuis des terminaux ne 
possedant pas d'autorisation d'acc^s compatible avec un troisieme degre de 
confidentialite. 

20 Pour preserver au maximum l'integrite des donnees contenues dans le serveur de 

reference REFS auxquelles un acces en lecture est ainsi rendu possible, le troisieme 
degre de confidentialite aura un effet restrictif superieur aux effets restrictifs produits 
par les premier et deuxieme degres de confidentialite. La population apte a lire 
directement les informations contenues dans le serveur de reference REFS sera ainsi 

25 moins nombreuse que les populations autorisees a consulter les serveurs auxiliaires 
CFS et PBS. 

Lorsqu'un terminal TER1 souhaitera consulter des donnees contenues dans le 
serveur de reference REFS, ledit terminal TER1 enverra tout d'abord une requete de 
lecture RqAIP(REFS) au serveur racine RTS aux fins de se voir communiquer 
30 l'adresse de protocole AIP(REFS) de ce serveur de reference REFS. Cette requete de 
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lecture RqAIP(REFS) sera usuellement accompagnee de Pidentifiant ID1 de ce 
terminal TER1. Le terminal TER1 pourra ensuite emettre a destination de cette 
adresse de protocole ABP(REFS) une requete de lecture RRq(CONFD) d' informations 
CONFD identifiees par le nom de domaine qui leur est associe et qui est connu du 

5 terminal TER1. Cette requdte RRq(CONFD) sera accompagnee de l'identifiant ID1 et 
parviendra au serveur de reference REFS via des moyens d' identification IDMR dont 
il est muni. Si l'identifiant ID1 identifie le terminal TER1 comme appartenant a la 
population munie du troisieme degre de confidentialite, les donnees CONFD requises 
seront transmises en retour au terminal TER1. Dans le cas contraire, les moyens 

10 d' identification IDMR pourront emettre vers le terminal TER1 un avis 
d'irrecevabilite, ou simplement mettre fin k la connexion entre le terminal TER1 et le 
serveur de reference REFS. 

La procedure decrite ci-dessus est egalement applicable a la lecture directe de 
donnees publiques contenues dans le serveur de reference REFS. 

15 Dans un souci constant de preservation de l'integrite des donnees qu'il est 

destine a contenir, le serveur de reference REFS est ici muni de moyens 
d' identification BDMW pour interdire toute ecriture de donnees dans ledit serveur de 
reference REFS depuis un terminal TER0 ne possedant pas d'autorisation d'acces 
compatible avec un degre de confidentialite ayaftt un effet restrictif superieur aux 

20 effets restrictifs produits par tous les autres degres de confidentialite attribu6s aux 
donnees contenues dans le serveur de reference et dans les serveurs auxiliaires. 

La population apte a ecrire ou a modifier des donnees dans le serveur de 
reference REFS sera ainsi encore moins nombreuse que les populations exclusivement 
autorisees a lire directement des informations contenues dans le serveur de reference 

25 REFS, et, a fortiori, bien moins nombreuse que les populations autorisees a consulter 
les serveurs auxiliaires CFS et PBS. 

Lorsqu'un terminal TER0 souhaitera 6crire des donnees dans le serveur de 
reference REFS ou modifier des donnees contenues dans le serveur de reference 
REFS, ledit terminal TER0 enverra tout d'abord une requete RqAIP(REFS) au serveur 

30 racine RTS aux fins de se voir communiquer V adresse de protocole AIP(REFS) de ce 
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serveur de reference REFS. Cette requete RqAIP(REFS) sera usuellement 
accompagnee de Pidentifiant IDO de ce terminal TERO. Le terminal TERO pourra 
ensuite emettre a destination de cette adresse de protocole AIP(REFS) une requete 
d'ecriture WRq(CONFD, PUBD) d'informations confidentielles ou publiques 
5 destinees a etre identifies par un nom de domaine qui leur est associe, laquelle 
requete d'ecriture WRq(CONFD, PUBD) sera accompagnee de 1'identifiant IDO et 
parviendra au serveur de reference REFS via des moyens d'identification 
supptementaires IDMW dont il est muni. Si Tidentifiant IDO identifie le terminal 
TERO comme appartenant a la population tres restreinte autorisee k ecrire des donnees 

10 dans le serveur de reference REFS, les donnees CONFD, PUBD seront inscrites k une 
adresse specifiee dans la requete d'ecriture WRq(CONFD, PUBD), qui sera 
representative du nom de domaine associe aux donnees CONFD, PUBD. Dans le cas 
contraire, les moyens d 5 identification IDMR pourront emettre vers le terminal TERO 
un avis d'irrecevabilite, ou simplement mettre fin a la connexion entre le terminal 

1 5 TERO et le serveur de reference REFS . 

L' invention d6crite ci-dessus permet done la realisation d'un service de 
fourniture d'adresses de protocole qui assure un respect du caractere confidentiel que 
pourraient revetir certaines donnees CONFD m^morisees dans la base de donnees 
DBS en correspondance avec un ou plusieurs noms de domaine associes auxdites 

20 adresses de protocole. 
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REVENDICATIONS 



1) Systeme de telecommunication incluant une base de donnees destinee a etre 
reliee k au moins un tenninal au moyen d'un reseau de communication, laquelle base 
de donnees incluant un serveur dit de reference, destine a contenir des donnees 
associees a au moins un nom de domaine, et au moins un premier et un deuxieme 

5 serveur auxiliaire destines a contenir des donnees prealablement enregistrees au sein 
du serveur de reference et respectivement munies d'un premier et d'un deuxieme 
degre de confidentialite, au moins Tun des premier et deuxidme serveurs auxiliaires 
etant muni de moyens d' identification pour interdire tout acces aux donnees qu'il 
contient a des terminaux ne possedant pas d'autorisation d' acces compatible avec le 
10 degre de confidentialite attribue aux donnees contenues dans ce serveur auxiliaire. 

2) Systeme de telecommunication selon la revendication 1, caracterise en ce que 
la base de donnees est munie de moyens de duplication des donnees contenues dans le 
serveur de reference vers les premier et deuxieme serveurs auxiliaires en fonction des 
degres de confidentiality attribues auxdites donnees. 

15 3) Systeme de telecommunication selon l'une des revendications 1 ou 2, 

caracterise en ce que les premier et deuxieme serveurs auxiliaires sont munis de 
moyens d'identification pour interdire tout acces aux donnees contenues dans les 
premier et deuxieme serveurs auxiliaires a des terminaux ne possedant pas 
d'autorisations d' acces respectivement compatibles avec les premier et deuxieme 

20 degres de confidentialite. 

4) Systeme de telecommunication selon Tune des revendications 1 k 3, 
caracterise en ce que le serveur de reference est muni de moyens d'identification pour 
interdire toute lecture des donnees contenues dans ledit serveur de reference depuis 
des terminaux ne possedant pas d'autorisation d' acces compatible avec un troisieme 

25 degr6 de confidentialite. 

5) Systeme de telecommunication selon l'une des revendications 1 a 4, 
caracterise en ce que le troisieme degre de confidentialite a un effet restrictif superieur 
aux effets restrictifs produits par les premier et deuxieme degres de confidentiality. 



WO 2005/032097 



PCT/FR2004/002397 



12 



6) Systeme de telecommunication selon Tune des revendications 1 a 5, 
caracterise en ce que le serveur de reference est muni de moyens d'identification pour 
interdire toute ecriture de donnees dans ledit serveur de reference depuis un terminal 
ne possedant pas d'autorisation d'acces compatible avec un degr6 de confidentiality 

5 sup6rieur ayant un effet restrictif superieur aux effets restrictifs produits par tous les 
autres degres de confidentialite attribues aux donnees contenues dans le serveur de 
reference et dans les serveurs auxiliaires. 

7) Dispositif de memorisation d' informations incluant un serveur dit de 
reference, et au moins un premier et un deuxi&me serveur auxiliaire destines a contenir 

10 des donnees prealablement enregistrees au sein du serveur de reference et 
respectivement munies d'un premier et d'un deuxieme degre de confidentiality, au 
moins Tun des premier et deuxfeme serveurs auxiliaires etant muni de moyens 
d'identification pour interdire tout acces aux donnees qu'ils contient a des requerants 
ne possedant pas d'autorisation d' acces compatible avec le degre de confidentialite 

15 attribue aux donnees contenues dans ce serveur auxiliaire. 
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